ISO/IEC 27001:2022 لإدارة أمن المعلومات

تدقيق منح الشهادة يبحث عن نظام يعمل فعلًا، لا عن ملف من المستندات. ونقاط الإخفاق المتكررة واحدة في معظم المحاولات الأولى: تقييم مخاطر أُجري مرة ولم تُعد مراجعته، وبيان قابلية تطبيق لا يطابق ما هو مطبق فعلًا، وعمليات تدقيق داخلي جُدولت ولم تُتابَع حتى الإغلاق، ومراجعة إدارية جرت دون توثيق.

عبء الإثبات مستمر لا سنوي. فمراجعات الوصول، ومراجعات الموردين، والإجراءات التصحيحية، وسجلات الكفاءة، وإجراءات التحسين، كلها يجب أن تكون موجودة على امتداد الفترة ومؤرخة. والمدقق الذي يأخذ عينة من ضابط ما سيطلب السجل الذي مضى عليه ثمانية أشهر، لا السجل الذي أُعدّ الأسبوع الماضي.

يأتي معيارا ISO/IEC 27001:2022 وISO/IEC 27002:2022 ضمن المكتبة الأساسية. تربط الإطار بنطاق محدد، وتعمل على التقييم متطلبًا تلو الآخر، وتحتفظ بالأدلة في المستودع المُدار حيث يمكن للدليل الواحد أن يخدم متطلبات عديدة.

جانب المخاطر هو حيث يؤتي التكامل ثماره. فالضوابط المطبقة ترتبط بالمتطلبات وبالمخاطر معًا، فتقييم ضابط بأنه فعّال يغيّر الدرجة المتبقية لكل خطر يخففه، وفوات موعد مراجعته يظهر في الجانبين. وهذا هو الرابط الذي لا يملكه نظام إدارة أمن المعلومات القائم على جداول البيانات.

يجري التدقيق الداخلي داخل المنصة لا بجانبها: مهام التدقيق، والتقييمات محددة النطاق، والملاحظات المسجّلة على السجلات نفسها التي يستخدمها الجميع، والمتابعة حتى الإغلاق. ويحصل المدققون الخارجيون على دور خاص بهم يُسند إلى المجلدات التي تغطيها مهمة التدقيق، فلا يرون سوى الأدلة ضمن هذا النطاق.

تُعدّ السياسات مع إدارة الإصدارات ودورات المراجعة ومسارات الاعتماد، وتسجّل الإقرارات من قرأ كل نسخة منشورة وقبلها، وهذا هو الدليل الذي تطلبه بنود الكفاءة والتوعية.

عندما يصدر إصدار جديد من معيار، تكون النتيجة المعتادة إعادة التقييم من الصفر لأن الإجابات محفوظة في جدول مرتبط بأرقام الضوابط القديمة.

الأطر في TrustPoint مُدارة بالإصدارات، وتنقل الترقية الموجّهة التقييمات الحالية عند إضافة إصدار جديد من إطار إلى المكتبة، مع عرض ما أُعيدت تسميته أو دُمج أو قُسّم أو استُحدث أو أُلغي. وتتضمن المكتبة إصدار 2022 من ISO/IEC 27001 لا إصدار 2013، لذلك يُقيَّم البرنامج المبني على إصدار 2013 مباشرةً وفق إصدار 2022.

كثيرًا ما يكون ISO 27001 المرجع المشترك الذي تُقارن به الأطر الأخرى. وتتضمن المكتبة الأساسية مجموعة الربط بين NCA ECC وISO 27001، ولا تتضمن بعد مجموعات ربط مع أطر أخرى.

ولأن كل علاقة تُسجَّل (مطابقة أو أضيق أو أشمل أو متقاطعة أو ذات صلة) ولأن الاقتراحات تتطلب أن يقبلها شخص مختص، فإن الوفر يصمد أمام مدقق منح الشهادة. فالربط الذي يُطبَّق دون علم أحد لا يمكن الدفاع عنه.